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The safety system of the vehicle, e.g. the brake system, is 
controlled by at least two separate circuits each with its own 
microprocessor (1,2). Each circuit is a complete entity with a 
dedicated power supply, microprocessor, actuators etc. The circuits are 
linked by data links (1 1) to enable one microprocessor to take over the 
overall control if the other microprocessor has a fault. 

The microprocessors operate on the input data in a redundant manner 
and compare the various outputs to determine if there is a fault. If a 
fault is detected the corresponding microprocessor is isolated and the 
entire system switches to the standby mode. 
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Die folgenden Angaben sind den vom Anmetder eingereichten Unterlagen entnommen 

<§) Schaltungsanordnung fur ein Kraftfahrzeug-Regelungssystem 

(§) Eine Schaitungsanordhung f Or ein sicherheitskritisches 

Regelungssystem, wie ABS, ASR, ASMS, Brake-byrwire 

etc. ist zwei- oder meH rkreisig aufgebaut, wobei jedef 

Kreis (I; 11) ein kbmplettes Mikroprozessorsystem (1, 2) 

e nth alt welches die Eingangsdaten redundant vera rbei- 

tet unci beim Auftreten eines Fehlers bzw. einer Abwei- 

chung zwischen den redundant gewonnenen Datenverar- 

beitungsergebnissen ein Fehlererkennungssignat (FAIL) 

lief ert: Bel FehJererkennung erfol^ Ubergang in eine 

Notiauffunktibn, in - der entweder ein Kreis abgeschal tet 
, otie^ 

demihtalrtenM . 

. Die beiden System? sind mit eigener Peripherie, beste- 
. hend a us Signalerfassung <3, 4), Aktuatorbetatigung (5, 6) . 
und Energieversorgung (7, 8), ausgerustet 
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Beschreibung i • . . / . SchlieBlich ist aus der DE 195 29 434 AT ein Mikropro- 

* '■' ' \ : v .''•■'^••>,^ ; i>v< v-' ■ w t ^sqi^stemfc^ : 

Die Erfindung bezieht sich auf eine • Schaltungsahord- Qups wel sync 

nung,jieganz'^ net smd, ale die 

s tem und insbesdndere fur sichemeitskrMscbe^^gelungen, 5 und das gleiche ^ ^ntral^> 

.wie^^,;ASR;*^l^i i3rake-by-wire, Fahrwerldsregelun- e^eit^^si^ 

gen ^yo^gMd^-^;^" V; ' v *■ "$b$i*!^ 

f : ZucJensiche^^ j ^sgabeeln^ 

len fc^ die in die 5 Bremsenfunktion eine^llSartiM^; > 1 ^terf n^alai^iMsW»i^»^^^2eti-^ 

eingrelfenden Regelungssy^ die m groBer Anzahl und 10 U^mEe^e^*^ 

^bBeViVielfaiC^ . l ^S^^^^^^^^^^^^m^i^'. 

die Andblbc!^^ 'o^R&j^ 

■ systeme ; <ASR)i uFate^ih^^ ASMS), , beta^^al^ 

Fah^er^^ .e^j^^j^^fw^wl^n--. • ; /stem^ern^g .was 
Regelungssys^ms fuhrt air Gefa^dun^ 15 wiederumm 
-des.Fanrzeug^ Sy ' , fuhifcW& 

f steme standig uberwacht, uim beim Auflreteh ernes Fehlers AUe vofgenannten Systenie Bemlienv auf 

&el^ ; demV^le^ 

piger gefatottchen Zustand umschalteri zii kdnhen. , gung emeX; 

..' . Noch kritfecher sind .Bremssysteme bzw. Kraftfahrzeug- 20 den, D aten verarbeitungsergeDnissen oder- ,-zvwschenergeb- 
Eiegelungssjrstem^ nisseh aur^tenl ^ RWere 

keirie. Umschaltung auf eih mechanisches oder hydrauli- eines FeWers bder Aiisj^ \ 

sches System moglich ist Hierzu zahlen Bremssystemkon- gelung abgeschaltet. In keinem Fall 1st «ine^ Nc^uffimk-' 
; zepte, wie "Brakeby-wire", die yoraussichtlibb in der Zu- tipn, nan^ch eme For^ Regelung nacS^mAuf- 

kunft hoch an Bedeutung gewinnen werden; die Bremsen- 25 trcten des Fehle^ m^ 
. funktion istbei sblcben Systemen auf eine intakte Elektro- der .Fehlererkennuhg nictt 

nik angewiesen^r't' ^ : ' r ,.-■>; ches System^ochjintal^ 

Ein Beispiel fur eine Schaltungsanordnung oder ein Mir solcher bekannten Scbaltungen ware J grundsaizlicti nur 

croprozessorsystem zur Steuerung und "Oberwachiing einer durch Verdoppelung der • redundanten Sy stenie in : Verbiri^ 

blockiergeschutzten : : Fabrzeugbremsanlage ist. ' aus der 30 dung mit elriem^enti^ 

DE 32 34 637 C2 felcaMt/r Es werden die^ Eingangsdaten quelle denldbar^ '■f^l%A i y : 

z wei identisch programmierten Microcomputern parallel Der vorliegehden 'Brmidmg Uegt nun die- Aufgabe zu- 

zugefuhrt und synchron * VeraibeiteL Die Ausgangssignale . grunde, eine Schaltungsanordnung zu entwickeln^ die Lm 
und ZwischensignaLe der.-r^id^ werden Vergleich zu den bescrmeb^ra 

imC Hilfe yon redundanten \fergleichem auf Cfbereinstim- 35 stehs geringen « Mehraufwarid erfordert und die dennocti . 

, -mung.gepruftv W<ennJ ; die;:Signale voneinander abweichen, beim Auftreten eines Fehlers einen Obergang in eine Not-!, 
wird iiber eine ebexif alls redundant ausgelegte Schaltung die lal]ffu]^6l^'auU^^7V^ " : ^/Sw':^^' ; ' :Z ^ - 

Regelung abgeschaltet. : ^ ^ ' '-, Es hat sich herausgestellt, daB diese Aufgabe durch die ixn 

Nach einem an^ren, aus der DE 41 37 124 A 1 bekann- Anspruch 1 bcschricbene Schaltungsanordnung gclost wer- 
ten System^ werden die; Eingangsdaten ebenf alls zwei Mi- 40 den kahn. I^ach den kennzeichnenden Merkmalen der ^.Erfin- 
crocomputern parallel zugefuhrt, yon denen jedoch niir einer dung ist die Schaltungsanordnung zwei-' oder mehrkreisig \ 

. die vollstandige, aufwendige Signalverarbeitung ausfuhrt. a^gebau^ wq^ 

, Der zweite Microcomputer dient vornehrnlich zur Oberwa- sorsystem enthalt, ^welches die Eingangsdaten oder Ein- 
chung, weshalb die Eingangssignale mit ffilfe ;yereinf achter gangsinformationen yerarbeitet und^bei Aiifteten eines Feh- 
•Regelalgcirithinen und veremfachter Regelpilosophie wei- 45 lerseinFehlererkennu^ 

- tewerarbeitet werden konnen. Die vereinfachte Daten verar- erfolgt dann ein tJbergang in eine Notlaufiunktion- ; 
beitung reicht zur En^ . . Nach emem be^ 

Vergleich mit den in dem aufwendigeren Microcomputer der Ernndurig- wcto^ "in jedem Mikroprpzessorsy stem die 
VerarbeiteEen Signalen Riickschlusse auf den qrSnungsge- Emgang&dafen dieses Systerns redunida^ die 
maBen Betrieb des Systems^ zulassen. Durch ^dle Verwen- 50 Datenveraibeirimgser^ 
dung eines Priif-Mic^^ germgererl^tungsfaliig- vei^lichenVu^.^ 

keit la^t sich der Herstellungsaufwand im yergleich zu ei- zwischen den Ergebnissen i das Fehlererkenhungssignal er- 
nem- Systei$ ' Mt zwei . VqUstini^gen, aufWendigen Mcrpr : ' "'.zeugt v { K ''-'.%X>P w = " f- - r T^- >"^s>^l^- i >; * : 
cbmputern gleicherl^i^ . Die erfcdungsgerna^ sich 

Aus der, DE 43 41 082 Al ist bereits ein Mikroprozessor- 55 sehr einfach auif Basis bekahnter Schaltungen, iL B. der zu- 
system bekannt, das insbesondere fur das Regelsystem einer vor geschilderteii bekannten Systeme oder Schaltungen, die 
blockiergeschutzten Bremsanlage vorgesehen ist; Dieses be- ein Fehlererkennungssignal Hefcrn, .realisieren. Wicbtig ist, 
kannte System, das auf einem einzigen Chip untergebracht daB nicht nur das Auftreten eines Fehlers signalisiert wird, 
werden kann, enthalt zwei Zentraleinheiten, in denen die sondern dafi auch erkennbar ist, welches' System oder. wel- 
Eingangsdaten parallel verarbeitet werden. Die Festwert- 60 cher Kreis fehlerbehaftet bzw. weiterfnn intakt isi : 
und die Schreib^Lese-Speichei; die an die be i den Zentral- Nach einem weiteren Ausfuhrungsbeispiel der Erfindung 

einheiten angeschlossen sind, enthalten zusatzliche Spei- . werden jedem Kreis oder Mikroprozessorsystem nur die fur 
cherplatze fur Priifinformationen und umfassen jeweils ei- den betreffenden Kreis benodgten Eingangsdaten zugefuhrL 
nen Generator zur Erzeugung von IVufinformationen. Die m Bei Ausfall des Kreises.und tJbergang in die Nc>daufruhk- 
Ausgangssignale eines der Leiden Zentraleinheiten werden 65 tion fallt danri der Kreisi in demi der.Fehler auftrat, aus: Die 
zur Erzeugung der Steuersignale weiterverarbeitet, wahrend Aktuatoren des betreffenden Kreises werden nicht mem* anY 
die andere als passive Zentraleinheit lediglich zur Uberwa- gesteuert Handelt es sich beispielsweise urn eine Kraftfahr- 
chuhg der aktiven Zentraleinheit dienL zeug-Bremsanlage imit diagonal er Brernsaufteilung, genligt 
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es, in der Notla^nktipn die Bremsen eines Kreises zu be-. . fassung der Radsensordaten. Als Aktuatoren kornmen Ven- 
^g« n - ;?s entsteht die gloiche Situa^6n^wie\beim Ausfall tilexcder, bei ein^ 



eines ' hydra^ zwei 
^sigenBfein^ 



;Eirie alte^ bestebt 5 sogar^sg^^ 

d?^<^ gejtremtenB^ l\ ■ : 
^gangsd^ : J Die Si^^ 

5, £fuJ^:Ha^ iifcer einen cier; ; 
durch Anschalu^^ der in-" io " T Tm^hXi*£r 6 i a* t>^uV~*~ikv~J. aZ- ii^Uk^uL^ 

■ talcten 1^ 



uon ohne Emschrankuncen fortgesetzt rr „ w 





£ « *v r«*<r aj , ajm iu ucui uex renier aunnn, ausgiDL, wira aer umscnaiter y . ^ — 

ijkei^ ;£^^ui^ine : zweiS 

triebs alfo Itege^ 1 v Yon dem inta^ 

tojng Betriebs ausgew^ter fe^ B, i : ; dem intafiten Mi^pr^ssorsystem alle Eingang^aten zii^ ■■ vV^ 

J>esonto nachder Umlegung des Umschalters 9p - «o 

es' yprteilhaft, wenn im ^l&ig^;^^q^eUeii Funktio-^ . oder 10 und damit nach dem tjbergang in die Nodaufrunk-; 
nen durch ^ tion die Brernsenbetatigung uneingeschrankt fortgesetzt Sq 

Eiirige^eiteieA^ • .<•'.->■"- 

spr^henb^ 4 syrn^ ■ 

Aus der beigefugten Al^ildung;^ der Radsensordaten. ? 

eurfachterj)^ einer,^ . i^/^^"Emg4n ; g : Pd dient beiehiem Brake-by- wirc-Konzeptzur 

Schaltmgsa^o^ wiedergibt und Entgegennahrrie fe : Breraped^-Be^ / ; : 

aus der folgenden Ei^^run^ge&n^weitere Eurzelheiten : ^Hn;: emdeiiliges Fetilererkennungssignal laBt sich fe- : 
der, Bandung; 50 die Wir- ; kanntlich Venven 

kungsweise emer Scb^ Ertodung : 30' re^u^ durch Vercleicb der Daten- ' _ 

nerv Pf?> - v V 'V "-^ >: '^ v ;; ^ verarf>eitungsergeDnisse oder ' -zwischenergebnisse erzeu-^ ■• ^ 

vj?ie .dargestellte; Scha^gsanbrd^ung 1st beispielsweise v gen/E^im Varliegen eiries Fehlers ist die Uberemstirnmung lJLM 
zurj Steuerung und -Regelung; Reiner ■'■ bl^kierge^hutzten . V : \ 'ni^^mDr-tge^ben. Dieses Signal wird erfindungsgemaB 
ip^al^ug-BremsaMage^ di e NddaurTunktion ^ ausgewertet: " 

ele^scbenV hach xfem Brake-by^ ^Me ^ zu den 'KMsen t H gehorenden Mikroprozessorsyr 
ten Bremsanlage geeignet. ;Hne Abscbaltung def mektronik Sterne' 1, 2 sihii '^ch .eine KpnWunikadbri^Einricbtung 11 
und r n RUckfall w in eine ^^ (hydrauliscbe cider mechanische)/ rnitemander yerbunden. Ober diesen Weg besteht ein Daten- . 
Grundfunktion ist bei solchen Brcmsaiilagen, die rein elek- austauschi der sicherstellt, daB alle Eirigangsdalen und auch 
trisch funklionieren, > prinzipbedingt nicht mdgiich; Beim \ - Zvwsche^^^ in beiden Mi-V '' 

Auftreten eiries Fehlers ist folgbcb eine Nptlauflunktion, die 40 ;kroprbzess^>%teinen 1, 2 verarbeitet und ausgewertet werr. 
eine weitere Bremsbetatigung ziilaBt, unbedingt nptwendig. . den konnen. 1st eine' ^splche Kornmunikadons-Einrichtung 
Die ' wiedergegebene ^Scbal^gsanpri^ung ; .besteht - : im : f Vprbanden^enugi es, den: beiden ,Eingangsdaten-Erfas- 
Prinzip aus zwei voilslan^gen/ ybne^ ■ • s^gseinric^ tur d%h jeweiligeri Kreis I 

Kreisen I, II znit'.den Wuk^ 2;iu 'denen^: 

jeweils aOch eine Emgangsdaten oa^ ^ga^^ auBerdem in bekanhter ? 

nen aufhehmende und erfassehde Scbaltung 3, 4 sowie eine Weise vielraltige UberwachungsrnaBnahmen realisieri wer- ! 
die Ausgangssignale de^ lyu^ropn^ . : : ! :-.-V r 

wertende A^atorbemti : ,: 5 Hn we^tlicber VprteU der' erfi ; 

, nicht verzichtbarer Bestandteil -der, erfindungsgenikBeh , tungsanprdnung besteht darin, daB diese aus zwei gleicharti- 
Schalluhgsanordnung : istidie^ .in^viduelle ; &iergieversor- :gen Kreisen Ii n'mifrec^danter Datenverarbeitung besteht 
gung 7, 8, ^ die hier ^ als ZuiulmMgsleitoing zii ,den einzetoen; ^ I pder H kann fur ein Regelungssystem einge- 

Komppnenten der beiden dargestellten ^ KreiseX H oder Mi-;' X ^zt ^ wrercWv bei .demtinv FehlerfaD . bei Abschaltungl der: ■ 
kroprozessorsystemen 1; 2 durch gestrichelte Doppeibnie : : . ^ktronik pdet der : Alcnjatorbetadgung eine mechanische . :: 
symbolisiert isty ;] : : .{tx* ■ :" ^ : . «>v ^ : V- c^ dembe-^ 

Die zusammen einen Kreis I, II bildenden Kpmponenteh 55 A schneben^ Erfindung, das ein 

der ej^dungsgemaBen SchalUihgsanordnung sind.in der . ; elektrisch zweikreisiges System I, II darstellt, wird beim= 
Abbildung durch ; einen . stn^^Dunkide^ii' itahmen '.zusan> ; Aurn^ten ^eines Fehlers entweder em Kieis I c<ier II abge- 
mengeraBt Jeder Kreis I, II enthali ein komplettes Mikro- schaltet oder die Akuatorbetabgung dieses Kreises vbn dem 
prozessorsystem, einschlieBlich der Peripherie/ Zum Kreis I mtakten Kreis ubernommen. Beide MaBnahmen fuhren zu 
gehoren fol^ich die Kompbnenten 1, 3, ein Umschalter 9 60 einer Notlauffunkdon; die erste MaBnahme zu einer Not- 
und die Energieversorgung 7, zum Kreis II die Komponen- laufiunktion unter Inkaumahme eine Bremswegverlange- 
ten 2, 4, ein Umschalter 10 und die ^ Energieversorgung .8. rung etc.; wahrend die zweite MaBnahme die Bremsenfunk- • 
Bei einer Bremsanlage werden zweckma^igerweise die bei- don unemgeschrankt aufrechterhalt; und ledighch die Funk- 
den Kreise I, II jeweils; zur Steuerung der Bremsen einer donssicherheit beim (relati v unwahrscheinlichen) Auftreten 
Fahrzeugdiagonalen zugeordnet - ; : *65 noch; weiterer Fehler beemti^htigt und damit das Sicher-. 

Bei einer &aftrahrzeug-Bren^anlage liefern die Radsen- heitsniveau reduziert , 
soren die wichdgsten EihgangsgroBen des Regelungssy- 4 Bs ist grundsatzlich auch moglich, die Obemahme der . 
stems. Folglich dienen die Hngangsscnaltungen 3, 4 zur Er- Aktuaic^uMgung |als Fplge einer Fehlereitennung auf be^ 



r * V 
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sonders mtiscbe Regelungsfmktionen zu beschranken. 

Dies ist insbesomtere dann zWMkn^ig;-'We^'diel^sci^e-''/ 
r \ . bene Schalfcmgsan^ 

: cherhei&tetiscte Rege- 

l&gssystemp dtol&egelun^ 5 
v desNqdauf^ 

■;■ -: aber auch^urcb :Sof^^rc^siert werden kdrnien, setzt die- 
- oder" 10 

■ • > : v <;' ^ mbglicri, das ".' 

v i ? tfmscnalten j.von eirier Majoritatsentscheidune abhaneie zu 
. ' . 7 ; > niachen; • wenh 'die : Da^ auf , mehr als zwer 

;werden m;j 1, 2 ; 15 

- die Daten redund^ System allein 

zur £eMere^ in der.Lage ist Es 



, ■ ... ... . •■ 

- -. v « 

•* -:J - " 



genugt zuj wiss^ Mikr6prbzess6r : 

:;sysfem '! ! - 1 ? : 



20 
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1. Schaltungsanordoung fiir ein Kraftfahrzeug-Rege-' 
. luhgs^ Re- 
• gelungra, vae 25 

dadurch gekennzcichnct, daB diese zwei- cxicr mehr- 
V krasig; : kufg^ kom- 
plettes Mikroprozessorsystem (1, 2) ehthalt, welches 
: - % die Eingangsdaten bzwi Eingangsinformationen verar^ 

beitet und bei :;Auftreten f eines Fehlers ein Fehlerken-" 30 
. 1 ■ nragssign^ : (EAiL)' : ' Heforf;; urid daB bei Feblererkenr 
: nung ein Ubeigang in eine NotlaufTunktion erfolgt. 
5 \ v2.c Scbaltungsanpixinung nacfai > Anspmch IV dadurch 
'; gekennzeichnet, daB die* einzelnen Mikrpprdzessorsyr 
\ - ■ sfeme (l»?2)'die£Eih bzwi ^informationeri 35 

redundant; verarbei ten lind beim Auftreten einer Ab- 
f . weichurig jcwischen deri redundant gewonnenen Daten- 
: . . verarbeitungsergebnissen und/oder -zwischenergebnis- 
*; sentdas Fehlerericenn hervorrufen. 
3. Schaltungsanordnung nach Anspruch 1 oder 2, da- 40 
• . durch gekennzeichnet, daB den KCkrbprozessorsyste- 
men (1;. 2) jeweils nur die fiir die betrefienden Kreise 
' Ct .10;: ^9°^gi? n ?* n g? n fe?4ate° oder -informationen 

f .zujgc^Obrt^wW'a^i; > V.^if : V'"^: i V r "- M<: ^ " k ' 
>: . ,4.: SialtUnj^an^ 2, da- 45 

durch gekennzeichnet, daB jedem Milcroprozessorsy- 
steih (1, 2) die : fur die gesarnte Regelung benodgten 
Eingangsdaten oder - informationen zugefuhrt werden. 
>; 5. f Schaltungsanordnung ' nachl 'einem i oder f mehreren 
. ; der Anspruche 1 bis . 4; dadurch gekennzeichnet, daB . 50 
. die Mil^^ (1; 2) der einzelnen Kreise 

(I/II)! dutch Kommunil^onseinheiten oder Datenaus- ^ 
. tauscheinheiten (U) untereinander verbunden sind. 
. 6. :S chaltungsanordnung riach einem : ocler - mehreren 
- • der Anspruche 1 bis 5, dadurch gekennzeichnet, daB je- 55 
' der Kreis (1,11) bzw. jedes Mikroprdzessorsystem (1 , 2) 
-. mit ^ eigener Fetipherie, namlich mit eigener Energie- 
"." versorgung "(7, 8), eigener Eingangsdaten- bzw. Signal- 
erf assung (3, 4) und/oder' mit eigener Ausgangssignal- 
auswertung oder Akiuatorbetatigung (5, €) ausgeriistet 60 
ist. . - - 

7. Schaltungsanordnung nach einem oder mehreren 
der Anspruche 1 bis 6; dadurch gekennzeichnet, daB 
der tJbergang in die Notlauflunktion durch Abschalten 
des fehlerhaften Kreises (I oder II) erfolgL 65 

8. Schaltungsanordnung nach einem oder mehreren 
der Anspruche 1 bis 7, dadurch gekennzeichnet, daB 
der Obergang in die Notlauffunktion durch Abschalten 



des; fehlerhaften Kreises XX oder JJ) unci Anschalten 
bzw. Obexhahine 'der Ausgangssignalauswertung oder 
Aktuatorbetatigung (6 . oder 5) ; durch einen intakten 
• Kreis'erfbigt/' ' ' - : ' ■ r-' : . '/ ' /. 

9. Schalliingsanordnung \ nach einem oder mehreren 
•dab" Am^Qche^ lvbis.;8- cladurcK gekennzeichnet, daB 
: bei emem Fehler ImEmgangsbereichi bei der Sensorsi- 
;: gnalauswertung (3,>4) etc. erne gememsarne Nutzung - 
■^ s .bwP^u^eJi^g;to k6rrek^n r Eihgangsilaten durch 
ajfe Mijkro^^ (J; II) erfplgt;T : " \' 

\ IplfSchaljmgs^c^ iriehreren 
clef ' ^^crache X' iis '^r'^^urcn^^^nn^ichnet, daB 
diese zwei kompletten Milaoprozessbrsysteme (1, 2) 
. mit eigener Fenphene umf act una zur Steuerung una/ 
. v octe ^gelung em 
}. ■ igesehen .i^ die Bremsen einer 

V ^ einer^ Fahrzeugachse an- 



steuert 

11; Schalt^gsanordnung nach einem mehreren 
''tier ^sj^che 1 bisrlO^d daB 
dies^ fjux^m von Kraft- 

fahrzeug-Regelungssystemen, Svie ; Brake-by- wire, 
ABS, ASRi , ASMS etc.,' ausgeiegt ist und daB die Not- 
lauflunktion die Aufrechterhaltung des Betriebs aller 
Regelungssy steme errafi t • > - 
12; Schaltuhgsanbrdnung riach einem oder mehreren 
der Anspruche; 1 Ibis 10, daliurch gekennzeichnet, daB 
diesef fur mehrere <xler eine Kombination yon Kraft- 
fahrzeug-Regeliingssystemen ausgeiegt ist und daB die 

'Nbu^uffiinfeion^taMf die, Aufrechterhaltung des Be- 
triebs ausgewahlter Regelungsfunktionen, z. B. beson- 
ders sicherheitskritischer Funktionen, beschrankt ist 
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